「格物刊」多维取证视角下的恶意软件逆向取证实践:涵盖PE/ELF/APK全平台

第二十期格物刊扎根电子取证实战场景，围绕多平台样本的典型对抗手段，剖析逆向研判思路与证据提取方法。解析API哈希混淆机制：针对Windows样本隐匿导入函数的对抗方式，完成哈希还原，构建完整证据链；探究伪UPX样本：面对遭篡改破坏的加壳文件，实践异常甄别、节区修复以及取证脱壳整套处置方案；破译PE加密配置：拆解滚动XOR加密逻辑，挖掘程序内置的IOC等核心研判线索；研判ELF恶意程序：针对Linux平台可执行文件，解密加密配置并交叉核验运行行为痕迹；解析Android二进制缓存：处理APK的Protobuf私有缓存数据，完成业务证据的结构化解析与提取。

在Windows可执行文件分析中，导入表通常是研判程序功能的第一条线索。然而，部分程序不将关键函数写入静态导入表，而在运行时自行取得模块基址、遍历导出表、对比函数哈希的方式获取函数地址，一次隐匿行为，让导入表看似正常。API哈希更像一种轻量级名称隐藏手段，取证仅还原API名称远远不够，还需要溯源代码、常量、哈希算法，验证函数实际调用情况。缺少偏移、调用点、动态记录支撑的行为退订，不具备可复核性。

本期格物刊基于Windows实验样本，从静态导入缺口出发，剖析PEB模块遍历、PE导出表三数组和ROR13加法型哈希循环，利用Python批量恢复7个目标常量，将结果整理为CSV/JSON。最后将API名称放回文件事件、断点记录与时间线中，构建 “常量 — 算法 — 名称 — 调用点 — 外部痕迹” 完整取证证据链。

在电子数据取证与恶意代码分析中，可执行文件加壳是常见的对抗手段。壳程序通过压缩、加密、重定位入口点和运行时解包等方式，干扰静态分析。UPX作为轻量开源，既可用于正常软件压缩，也常被恶意样本滥用。部分样本通过改写UPX外观特征进行伪装，可能被某些检测工具判断为“疑似 UPX”，无法按标准结构解包；若单纯依赖工具结论，易产生误判，无记录修改文件还会破坏证据复核条件。

本文围绕伪UPX样本梳理完整分析流程，涵盖证据固定、PE结构初筛、异常识别、节区字段最小修复、OEP判定、内存转储、导入表恢复至报告复核全环节；所用实验样本仅运行内部校验逻辑，不存在联网、文件落地及系统篡改行为。

很多Android应用并不把核心业务痕迹直接存成SQLite明文，出于性能考虑，他们将消息、会话列表、附件索引等内容存储为Protobuf二进制缓存。对取证来说，这类.pb、.bin、.cache、.pbk文件最大的问题是“看到了字节，读不出语义”。APK逆向此时的任务不是破解加密，而是恢复结构，区分容器头、消息类别与字段含义。

在这期格物刊里，我们选择脱离密钥恢复的思路，以GeneratedMessageLite和PBK2帧头为核心，开展本地Protobuf缓存逆向取证。

实验采用隔离APK样本com.lab.syncnote，账号、消息、路径、时间、缓存字段等均为合成数据。重点在于方法，怎样从APK、缓存文件、shared_prefs、MMKV及运行时Hook中恢复结构化证据。

感恩相伴，一路有你

第二十期《格物刊》

致每一位在取证路上笃行不怠的你

以上内容节选自正刊部分

更多技术干货已为您准备就绪

欢迎通过官方渠道领取

格物刊投稿通道

“搭建交流平台，实现数据赋能”，为新人提供一个交流网络安全知识的发声平台，推进网络安全技术发展。坚持正确的办刊方向，为执法机关打击犯罪提供强有力的支撑。

苏州龙信不忘初心，继续以专业的技术水准为执法部门打击违法犯罪活动提供更快速全面的技术问题解决方案！

官方投稿渠道

添加官方微信发送稿件：

longxintech2021

或发送至龙信官方邮箱：

lxzx@longxintec.com